网络系统安全浅谈

基于安全内核的应用
Web Griffin
主要对文件的写权限进行访问控制
对文件的读，写，执行进行访问控制
共性
保护主要daemon 防止init
＊下一代的网络安全
安全是一个过程，而不是一个产品 关注系统风险管理 多层次的立体网络安全防护体系
安全过程与系统安全生命周期模型
“安全是一个过程，而不是一个产品”，Bruce Schneier
主流的产品介绍
RealSecure，CyberCop，Snort等
Scanner
概念
“Improving the Security of Your Site by Breaking Into it”, Dan Farmer, Wietse Venema
主流产品介绍
ISS, nessus, nmap, SATAN等
网络安全生命周期模型
评估，设计，工程实施、开发和制造，布署，运行、管 理和支持，终止
关注系统风险
基于时间的PDR模型
防护(Prevention)、检测(Detection)和反R
Te是系统暴露给攻击者的时间 Td是检测到攻击行为所需的时间 Tr是对攻击响应和阻击的时间 当P=0时，E = D + R，即系统最大的风险为对攻击检 测和作出反应的时间之和
内核隐藏功能(Kernel Stealth) - 隐藏安全内核降低安全风险 - 不显示安全内核程序，降低风险.
自动保护安全内核 程序目录 - 防止删除安全程序保持持续的安全功能.
用户(应用程序)
A
B CD E
Kernel Module
Kernel Module Load/Unload 不可以
(Kernel Sealing)
网络防御
防火墙，IDS，Scanner，VPN和防病毒等
软件的可靠性
缓冲区溢出，Bug以及SSE-CMM
硬件安全 PKI 其它
安全管理，法律，BCP&DRP等
网络安全工具
防火墙 入侵检测系统(IDS) Scanner VPN 防病毒 其它
防火墙(Firewall)
概念
门卫(边界防火墙，堡垒主机)
原理与实现模型
包过滤、代理(应用网关)、Stateful Inspection
主流产品介绍
CheckPoint，Cisco PIX，Netscreen，天融信，东方龙 马，东软
IDS
概念
医生(在与其它安全工具联动后会起到巡警的作用)
原理与实现模型
数据包探测式(类似于查病毒)、异常探测式(类似于病 毒实时警报) 网络内嵌式(在网络上实时工作)，审计式(事后核查) 基于主机的，基于网络的
计算机(网络设备)安全
访问控制、安全模型、安全内核与可信计算基(Trusted Computing Base)、隐藏通道和评估准则
连网计算机(网络设备)安全
恶意代码、模块安全、移动代码、网络安全
网络安全
IP安全、DNS安全、DOS及DDOS攻击
网络系统安全
威胁与风险分析(非技术)
社会工程 内部人员作案 错误使用与配置 物理世界攻击,…… etc.
防火墙，IDS，VPN等网络安全产品分别解决了当前网络 系统的一些问题，但由于这些安全产品大多独立于用户 当前的网络与应用系统之外，同时增加了系统的复杂度 和攻击点
防火墙，IDS，VPN等网络安全产品也可能存在一些安全 漏洞
基于安全内核的主机防护系统
特征 基于数字签名认证的安全内核
功能 基于数字签名进行访问控制 对于未被授权的管理员的访问控制 对系统内核的密封 自身内核模块的隐藏
可简化网络管理，产品成熟 实时监控网络安全状态
简单可操作，帮助系统管理员 和安全服务人员解决实际问题 保护公网上的内部通信
无法处理网络内部的攻击 误报警，缓慢攻击，新的攻 击模式 并不能真正扫描漏洞
可视为防火墙上的一个漏洞
针对文件与邮件，产品成熟 功能单一
＊基于安全内核的主机防护系统
为什么需要基于安全内核的网络安全产品
• 如果应用了基于数字签名的安全内核黑客即使获得了系 统管理员权限，他也不能够访问文件系统
安全内核结构(3)
程序自身保护功能(Self-Security)
被黑客入侵时删除安全功能.
内核密封功能(Kernel Sealing)
国内唯一
- 防止内核模块的Loading/Uploading
阻断恶意的对内核的攻击.
安全内核结构（1）
访问
访问
认证
基于数字 签名认证 的用户身 份验证
Web Griffin
Secuve Kernel 数据库
O X
程序文件设备等
安全内核结构（2）
Current Kernel Process
用户级
Security Kernel Process
用户级
内核级
内核级
• 黑客可以通过获得系统管理员权限进入文 件系统
网络系统安全浅谈
Agenda
网络系统的风险与威胁 网络安全技术与常见工具 基于安全内核的主机防护系统 网络安全的未来图景
＊网络系统的风险与威胁
风险无处不在
攻击、防御与反击
攻击的不变性质
数字世界的威胁是物理世界威胁的反映
攻击的变化性质
自动化、远程化、技术的传播性
威胁与风险分析(技术)
各类工具的局限性
防火墙
“一夫当关，万夫莫开”的关口，简化了网络的安全管 理 入侵者可寻找防火墙背后可能敞开的后门 入侵者可能就在防火墙内
IDS
实时的入侵检测，很难跟踪新的入侵模式
Scanner
安全咨询系统，很难跟踪新的漏洞
网络安全工具的特点
防火墙 IDS
Scanner
VPN 防病毒
优点
局限性
VPN(Virtual Private Network)
概念 原理与实现模型
PPTP，L2TP，IPSec和其它专用协议 连接同一网络中的不同区域，拨号用户
防病毒(Anti-Virus)
概念 原理与实现模型 主流产品介绍与未来发展
其它
蜜罐系统(Honeypot) 网页监控与恢复 E-mail安全
没有绝对安全(无风险)的系统！
信息安全与网络安全
信息(数据)安全关注的问题
机密性、鉴别、完整性和防抵赖性
网络(系统)安全关注的问题
访问控制、可用性、审计管理等
＊当前的网络安全技术与工具
网络安全技术 网络安全工具
防火墙、IDS、Scanner、VPN与防病毒等
特点与局限性
网络安全技术